PT-2024-18435 · WordPress · Giveaways/Contests By Rafflepress

Krzysztof Zając · CVE-2024-1935 · Publicado 2024-03-13 · Atualizado 2025-04-09

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

O plugin “Giveaways and Contests by RafflePress – Get More Website Traffic, Email Subscribers, and Social Followers” para o WordPress, nas versões até a 1.12.5, inclusive

Descrição

O problema está relacionado a Stored Cross-Site Scripting devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores não autenticados injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página injetada, especificamente por meio do parâmetro parent url.

Recomendações

Para versões até e incluindo a 1.12.5, atualize para uma versão posterior à 1.12.5 para resolver o problema. Como solução temporária, considere restringir o acesso ao parâmetro parent url para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-1935

Produtos afetados

Giveaways/Contests By Rafflepress

Referências · 7

• https://nvd.nist.gov/vuln/detail/CVE-2024-1935 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-1935 · Aviso do Fabricante
• https://plugins.trac.wordpress.org/browser/rafflepress/tags/1.12.5/resources/views/rafflepress-giveaway.php · Nota
• https://t.me/cvenotify/118460 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1767941859051991186 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/29b471ac-3a08-42da-9907-670c3b3bae92?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset?old_path=/rafflepress/tags/1.12.5&old=3043286&new_path=/rafflepress/tags/1.12.7&new=3043286&sfp_email=&sfph_mail= · Correção